防火墻在網(wǎng)絡(luò)安全體系中占據(jù)著不可撼動的位置，尤其是對銀行業(yè)用戶來說，防火墻的重要性更是毋庸置疑。在普遍實(shí)現(xiàn)了數(shù)據(jù)大集中的情況下，銀行對數(shù)據(jù)中心出口的安全設(shè)備性能要求，明顯高于一些普通行業(yè)，因此這也成為網(wǎng)絡(luò)安全設(shè)備廠商實(shí)力的真實(shí)舞臺。

　　在中國農(nóng)業(yè)銀行總行（以下簡稱：農(nóng)總行）數(shù)據(jù)中心防火墻選型中，華三通信的高性能超萬兆下一代防火墻展示出的性能優(yōu)勢，滿足了農(nóng)行當(dāng)前業(yè)務(wù)系統(tǒng)的出口安全需求，在技術(shù)和架構(gòu)上也展示出了別具一格的領(lǐng)先優(yōu)勢，為用戶帶來了更多價值。

　　嚴(yán)苛選型的收獲

　　中國農(nóng)業(yè)銀行作為國有四大行之一，其企業(yè)規(guī)模和業(yè)務(wù)范疇都是超大型，23000多家境內(nèi)機(jī)構(gòu)、15家境外機(jī)構(gòu)以及網(wǎng)上銀行、電話銀行、掌上銀行等分銷渠道，所有的業(yè)務(wù)都要依托總行數(shù)據(jù)中心為核心的信息化系統(tǒng)來處理。

　　2014年，中國農(nóng)業(yè)銀行總行數(shù)據(jù)中心為滿足國家安全審查建設(shè)，針對電子認(rèn)證系統(tǒng)建設(shè)規(guī)劃，開展了“某系統(tǒng)國家安全審查建設(shè)項(xiàng)目“萬兆防火墻入圍選型工作。從銀行業(yè)務(wù)的特點(diǎn)出發(fā)，農(nóng)總行對設(shè)備的性能提出了明確要求：防火墻吞吐40G以上，能夠?qū)崿F(xiàn)基于用戶、應(yīng)用的下一代防火墻特性以及負(fù)載均衡、VPN、多種路由協(xié)議等網(wǎng)絡(luò)特性。

　　H3C SecPath F5040在眾多產(chǎn)品中表現(xiàn)尤為突出，最終成功入圍農(nóng)總行數(shù)據(jù)中心。作為下一代高性能萬兆防火墻產(chǎn)品，H3C SecPath F5040采用了先進(jìn)的最新64位多核高性能處理器和高速存儲器，支持多維一體化安全防護(hù)，可從用戶、應(yīng)用、時間、五元組等多個維度，對流量展開IPS、AV、DLP等一體化安全訪問控制，能夠有效的保證網(wǎng)絡(luò)的安全；支持多種VPN業(yè)務(wù)，如L2TP VPN、GRE VPN 、IPSec VPN和SSL VPN等，與智能終端對接實(shí)現(xiàn)移動辦公；提供豐富的路由能力，支持RIP/OSPF/BGP/路由策略及基于應(yīng)用與URL的策略路由；支持IPv4/IPv6雙協(xié)議棧同時，可實(shí)現(xiàn)針對IPV6的狀態(tài)防護(hù)和攻擊防范。

　　高可靠性是農(nóng)總行最為關(guān)注的一個方面，H3C SecPath F5040防火墻采用互為冗余備份的雙電源模塊，支持可插拔的交、直流輸入電源模塊，同時支持雙機(jī)狀態(tài)熱備，充分滿足高性能網(wǎng)絡(luò)的可靠性要求，這對于銀行業(yè)務(wù)來說有非常實(shí)際的意義。

　　此次能夠入圍農(nóng)總行選型，是源于華三通信的整體實(shí)力。作為新IT基礎(chǔ)架構(gòu)領(lǐng)域的領(lǐng)先廠商，華三通信不僅在網(wǎng)絡(luò)安全領(lǐng)域的技術(shù)和產(chǎn)品保持著自己的優(yōu)勢，在安全應(yīng)用服務(wù)方面更是有著十分豐富的經(jīng)驗(yàn)積累，能給農(nóng)行提供更多保障。

　　價值體現(xiàn)不僅在性能，還在運(yùn)維

　　目前，已經(jīng)有兩臺H3C SecPath F5040部署在農(nóng)總行數(shù)據(jù)中心，作為數(shù)據(jù)中心出口的“屏障”，為網(wǎng)銀業(yè)務(wù)保駕護(hù)航。對于農(nóng)總行IT部門而言，華三通信防火墻設(shè)備的到來，也減輕了在系統(tǒng)部署和運(yùn)維環(huán)節(jié)的壓力。

　　采用雙機(jī)熱備，是高端用戶普遍采用的一種增強(qiáng)系統(tǒng)穩(wěn)定性的方法。以往農(nóng)總行數(shù)據(jù)中心采用的是VRRP+HA的雙機(jī)部署方式，這也是國內(nèi)廠商設(shè)備的普遍方式。但這種方式的短板十分明顯，由于單組VRRP需要消耗三個IP地址，如果雙主方式需要兩組VRRP；兩臺設(shè)備需要單獨(dú)配置維護(hù)，部分配置需要能夠自動備份。

　　這種傳統(tǒng)方式無疑需要消耗很多IP地址資源，同時需要提前規(guī)劃眾多的地址分配以及鏈路協(xié)議規(guī)則。農(nóng)行總行的IT部門需要投入大量精力，來了解安全技術(shù)細(xì)節(jié)，熟悉雙機(jī)組網(wǎng)方式。

　　H3C SecPath F5040則改變了這一點(diǎn)。由于可以采用SCF集群雙機(jī)技術(shù)，雙機(jī)熱備的兩臺防火墻，在網(wǎng)絡(luò)拓?fù)渲谐蔀榱艘慌_設(shè)備，對外呈現(xiàn)單節(jié)點(diǎn)、單IP，而且只需一次配置，也無需擔(dān)心配置備份問題。由于設(shè)備的SCF功能已經(jīng)通過集群協(xié)議完成了大部分雙機(jī)配置工作，維護(hù)人員只需通過簡單的界面來進(jìn)行部署與維護(hù)，而無需理會底層的技術(shù)細(xì)節(jié)，這樣就大大提升IT部門對防火墻設(shè)備維護(hù)的工作效率。

　　此外，華三通信防火墻的價值體現(xiàn)不僅僅在這一點(diǎn)上。由于H3C SecPathF5040具備了IPS、AV防毒、應(yīng)用流控等多種高性能的深度安全防御擴(kuò)展能力。因此，除了實(shí)現(xiàn)網(wǎng)絡(luò)出口的基本訪問控制外，華三通信下一代防火墻可以在任何需要的時候開啟高性能的多業(yè)務(wù)防護(hù)以及多種VPN接入手段，在不改變現(xiàn)有組網(wǎng)的情況下，便捷地獲得更加完整的邊界安全防護(hù)，同時多種安全防護(hù)業(yè)務(wù)可以在一條安全策略中統(tǒng)一集成，讓現(xiàn)有網(wǎng)絡(luò)防護(hù)更為簡單易用。

　　結(jié)束語

　　對于任何一個用戶來說，網(wǎng)絡(luò)安全是一個需要不斷完善、不斷提升的工作。農(nóng)總行數(shù)據(jù)中心的網(wǎng)絡(luò)防火墻部署需求，也會持續(xù)提升。憑借著在業(yè)界領(lǐng)先的產(chǎn)品技術(shù)和解決方案優(yōu)勢，華三通信將繼續(xù)在農(nóng)行信息化建設(shè)中展現(xiàn)價值，為農(nóng)行IT系統(tǒng)打造更堅實(shí)的屏障。